YXCMS v1.4.7源码下载地址: http://down.chinaz.com/soft/33853.htm 运行环境要求: 可用的 web服务器（如 Apache，nginx，IIS 等） PHP...0x02 YXCMS的路由分析 先看该cms的入口文件index.php，包裹了路径protected/core.php。访问一下可以发现该CMS的路由 url/index.php?...protected/apps/一级文件夹) / (protected/apps/一级文件夹/controller/文件名前几位) / 文件名下对应的函数名 举个例子 这个地方就对应了url http://yxcms.com...6.任意文件上传漏洞(protected/apps/appmanage/controller/indexController.php) 本处的功能点在许多cms里都存在过漏洞，YXCMS也不例外。
yxcms代码审计之旅全文下载 自己接触代码审计也有一段时间了，所以写了一个系列来记录自己挖掘yxcms内容管理系统漏洞的过程，作为一个简单的教程带领大家进入代码审计的世界。 ...在我写这篇文章的时候，我们的yxcms已经出了新版本，并修复了这些漏洞。存在漏洞的老版本我放在教程的附件中，不用大家再上网上找了。 希望大家喜欢。 ...附件：yxcms代码审计之旅.rar
0x00 背景 之前有挖了yxcms app的一些漏洞，基本是后台的，打后台的知识也就发现了前台的存储XSS，然后前几天看到先知上有师傅发了前台的存储XSS结合固定会话的利用方式，我的方式不大一样，...\YXcmsApp1.4.6\protected\apps\default\controller\columnController.php 漏洞类型：存储型XSS 站点地址：http://www.yxcms.net...guestbook的tableinfo等数据的获取方式是这样的，首先yxcms会先进行如下请求，获取guestbook对应的extendid等数据信息。...friends -----------------------------115942706814498 Content-Disposition: form-data; name="webname" Yxcms...0x02 漏洞复现 在碎片列表的中进行如下的删除操作，然后使用dnslog获取SQL注入得到数据，得到数据名为yxcms。 ? POST /index.php?
192.168.52.143）win2008(内网IP：192.168.52.138) win08(内网IP：192.168.52.141) 访问目标站点，http://192.168.122.142/yxcms...方法二：利用已知cms漏洞getshell 进入管理后台 显而易见，目标靶机使用了yxcms，通过百度可以查询到yxcms的目录结构，得到yxcms的后台路径：/index.php?...r=admin/index/login访问http://192.168.122.142/yxcms//index.php?r=admin/index/login ?...使用yxcms默认用户名密码，admin/123456登录后台，直接登录成功，接入管理后台页面 ? 写入webshell 在前台模板功能中我们可以直接写入一句话木马 ?...不过yxcms泄露了robots.txt ? 通过泄露的文件路径，一步一步推测找出我们上传的shell_test.php一句话木马 ? 蚁剑连接shell_test.php ?
访问Web服务器地址：http://192.168.10.14/yxcms/ 它是一个yxcms的站点。关于yxcms的漏洞，传送门：代码审计| yxcms app 1.4.6 漏洞集合 ?...对于yxcms我也不熟悉，之前没接触过。拿到目标第一先用御剑扫描下后台吧 ? ?...beifen.rar 发现phpinfo文件：http://192.168.10.14/phpinfo.php 发现一些比较敏感的目录，这些目录都存在目录遍历漏洞 http://192.168.10.14/yxcms.../robots.txt http://192.168.10.14/yxcms/data/ http://192.168.10.14/yxcms/public/ http://192.168.10.14/...yxcms/upload/ http://192.168.10.14/yxcms/protected/ ?
Windows 7有双网卡，也就是内外网IP 外网IP：192.168.31.129 内网IP：192.168.52.143 且此服务器存在yxcms Windows 2008只有内网网卡 内网IP：192.168.52.138...攻击过程 0x1.获取WEBSHELL 目标URL：http://192.168.31.129/yxcms/ 得知是yxcms，直接百度一把搜，找到如下文章 https://bbs.ichunqiu.com.../thread-45926-1-1.html 这里都是需要后台才可以getshell的，自己审计不太现实，故打开默认后台试试弱口令 http://192.168.31.129/yxcms/index.php...然后yxcms后台这边burp也跑出密码来了 ? 账户密码为：admin/123456，进入后台，直接上高速打POC history.pushState('', '', '/') <form action="http://192.168.31.129/<em>yxcms</em>
getshell 后发现在根目录下存在yxcms 访问目录 根据前台提供信息能够进入后台管理页面 ? 百度得到该版本yxcms存在后台模版漏洞 我们在后台修改前台模版的代码，插入一句话 ?...然后配置我们的服务 sudo python reGeorgSocksProxy.py -u http://192.168.110.143/yxcms/tunnel.nosocket.php -p 9999
在编辑模板的地方，我们新增一个shell.php 文件写入漏洞 文件写在了:/yxcms/protected/apps/default/view/default/ 成功获取shell。...http://upload.sensepost.net:8080/tunnel/tunnel.jsp python neoreg.py -u http://192.168.163.138/www.yxcms6.../stinger_client -w http://192.168.163.138/www.yxcms6.com/protected/apps/default/view/default/proxy.php
在编辑模板的地方，我们新增一个shell.php文件写入漏洞文件写在了:/yxcms/protected/apps/default/view/default/成功获取shell。...u http://upload.sensepost.net:8080/tunnel/tunnel.jsppython neoreg.py -u http://192.168.163.138/www.yxcms6.../stinger_client -w http://192.168.163.138/www.yxcms6.com/protected/apps/default/view/default/proxy.php
可以看到有个yxcms。 ? 后台 存在弱口令：admin 123456 ?...任意文件写入 http://192.168.8.157/yxcms/index.php?...r=admin/set/tpadd&Mname=default 目标路径： http://192.168.8.157/yxcms/protected/apps/default/view/default
192.168.52.143 只知道一个IP，先用nmap进行扫描吧，看看开放端口，开放80和3306端口 图片 图片 扫一下存活目录,得到一个baifen.rar,down下来瞅瞅，发现是一个yxcms...的源码，不难猜测这这个80端口web服务应该就是yxcms，加了个路径发现猜想正确 图片 一个PHP网站，路径和账密都给了，直接进后台探测 在模板界面插入一句话 图片 图片 getshell
或者使用phpMyadmin爆破工具也能得到用户名密码 2.扫描目录，获取到网站后台路径和登录用户和密码 扫描到数据库后台 PhpMyadmin 和备份文件 beifen.rar，下载解压得到 yxcms...文件夹，是一个网站的源码，直接访问http://192.168.52.143/yxcms，发现了网站有后台路径和管理员账户泄露 GetShell 1.phpMyadmin日志Getshell 前面信息收集第一步获得的...r=admin和用户名:admin;密码:123456 登录进后台，然后发现前台模板有php文件编辑，可以直接写一句话木马进去获取shell 在刚才解压的文件夹下找到info.php的路径（/yxcms
secure_file_priv%'; NULL 不允许导入或导出 /tmp 只允许在 /tmp 目录导入导出 空 不限制目录 这里是NULL，放弃这个into outfile，尝试写日志或者利用yxcms...image-20210816233243292 蚁剑连接 连上了 image-20210816233333885 探测一下发现管理员权限还出网 image-20210816233649426 5）补充：yxcms...上线蚁剑方法 想搞yxcms可以参考我前面的文章https://www.freebuf.com/articles/web/277572.html 管理员登录需要修改r=admin yxcms的默认用户名密码是
环境）: 域内主机Win2K3 Metasploitable： 域控Windows 2008: 外网初探 web服务器win7的模拟外网ip(192.168.72.129),打开页面后发现是一个Yxcms...然后我们投机取巧谷歌大法搜一搜康康这个cms有没有漏洞，搜索后发现YXcms 1.4.7 存在任意文件写入 直接在这里写入一句话php木马 <?...1.SET GLOBAL general_log=‘on’; 开启日志 2.set global general_log_file=‘C:/phpstudy/www/yxcms/shell.php’;#
r=admin，我们登录后台，从网上查得yxcms的后台默认密码后登陆： ? img ? img 登陆成功 发现在前台模板功能里面可以直接编辑php文件，我们一可以直接写入webshell并连接 ?...我们将全局日志开启并将保存日志的目录设为web目录 set global general_log=on;# 开启日志 set global general_log_file='C:/phpStudy/WWW/yxcms...将win7主机上的shell.exe上传到域控上 copy c:\phpstudy\www\yxcms\shell.exe \\192.168.52.138\c$ ?
通过扫描发现了一个备份rar，beifen.rar 解压得到yxcms ? 试试访问路径 curl -i http://192.168.33.5/yxcms/ ?...看到后台路径和账号密码 二、漏洞利用 后台GetShell 成功登陆到yxcms的后台 在模版下添加一句话木马，蚁剑连接 ? ? 成功连接 Mysql写webshell select '<?
差别不大，我们发现了一个备份文件，解压看一下，发现是yxcms站点的源码打包，这个cms是开源的，可以直接在搜索引擎搜它之前有没有被爆出什么漏洞。
那我就御剑上去扫描一波http://192.168.1.117/yxcms/路径下的目录，发现了有robots.txt、protected和pubic。
>' or sleep(11); getshell yxcms1.2.1 RCE 这玩意百度一下就行了，同样也是弱密码进后台。 后渗透阶段 超实用！手把手教你如何用MSF进行后渗透测试！
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
